Админская практика

️️️️️️️️️️️️📶 Сеть может работать стабильно годами, пока однажды не возникает проблема — тогда придется разбираться, что происходит между хостами. Здесь уже недостаточно знать команды: важно понимать, как устроен стек сетевых протоколов и где искать причину сбоя. На открытом уроке разберём: ➖ как устроен сетевой стек; ➖ на практике поработаем с сетевыми утилитами на хосте. 👍 Это поможет лучше понимать работу сети и увереннее проводить её отладку. Урок подойдёт начинающим сетевым инженерам и всем, кто хочет системно разобраться в сетевых технологиях. 📆 5 ноября в 20:00 МСК 🎓 Занятие п…

Если вы отвечаете за инфраструктуру компании, присматриваетесь к альтернативам VMware или разбираете инциденты, приходите 12 ноября на DUC meetup /6. Это офлайн-встреча Deckhouse User Community в Москве. Из докладов вы узнаете: • как домашняя инфраструктура за 13 лет выросла из одного ноутбука в геораспределённый Kubernetes-кластер; • как университет переходит с VMware на виртуализацию Deckhouse; • как в компании внедряли IncidentGPT, Open Source-проект для работы с инцидентами с помощью ИИ. После докладов оставайтесь на нетворкинг и пиццу :) Мест немного, поэтому оставьте заявку, чтобы попа…

NAT44 vs NAT64: как IPv6-клиент подключается к IPv4-серверу Обычный NAT44 меняет IPv4-адреса, но сам протокол остаётся прежним. NAT64 работает иначе: позволяет клиенту из IPv6-only сети обращаться к серверу, у которого есть только IPv4. ⏺NAT44 чаще всего встречается на домашних маршрутизаторах. Несколько устройств с приватными IPv4-адресами выходят в интернет через один публичный адрес. Например, 192.168.1.10:50000 превращается в 203.0.113.5:40001. Маршрутизатор запоминает соответствие и возвращает ответы нужному клиенту. ⏺NAT64 переводит пакеты между IPv6 и IPv4. Но сначала клиенту нужно…

Что такое IX и как трафик идёт внутри него IX (Internet Exchange) это физическая точка где провайдеры, CDN и крупные сети подключаются друг к другу напрямую. Вместо того чтобы гонять трафик через транзитного провайдера и платить за каждый гигабит, участники обмениваются трафиком напрямую и бесплатно между собой. Крупнейшие точки обмена: DE-CIX во Франкфурте, AMS-IX в Амстердаме, MSK-IX в Москве. Через DE-CIX проходит больше 10 Тбит/с в пике. Как устроено внутри Физически IX это один большой коммутатор (или несколько связанных), к которому все участники подключают свои роутеры. Эта общая ср…

4 команды для диагностики оптического линка в Linux Оптический интерфейс может оставаться UP, даже когда качество сигнала уже ухудшилось. Поэтому при нестабильной связи стоит проверить не только состояние порта, но и сам трансивер. ⏺Проверить параметры SFP-модуля ethtool -m eth0{} Если модуль и драйвер поддерживают диагностику, увидим температуру, напряжение, мощность передатчика (Tx) и принимаемого сигнала (Rx). Особенно интересен Rx Power. Слишком слабый сигнал может указывать на загрязнённые коннекторы, затухание или проблемы с оптикой. Сравнивать значение нужно с доп…

Миф: Port Security защищает от всех атак на L2 Port Security ограничивает количество MAC-адресов на порту коммутатора. Например, разрешаем один MAC, и если появляется второй, порт блокируется или начинает отбрасывать нарушающий трафик в зависимости от режима. Кажется, что этого достаточно для защиты от посторонних устройств. Но Port Security контролирует MAC-адреса, а не поведение самого устройства. ⏺Rogue DHCP Server Атакующий подключает устройство с разрешённым MAC и начинает раздавать клиентам неправильный шлюз или DNS. Port Security не анализирует DHCP-ответы. Для этого нужен DHCP Sno…

📘 На Mentorix вышел курс — «Terraform: инфраструктура как код» Хотите не просто писать .tf-файлы, а собирать инфраструктуру кодом, с которой работает вся команда? Этот курс — полный путь от первого apply до пайплайна, который применяет только проверенный план. • Основы: HCL, init → plan → apply, провайдеры и lock-файл • Переменные: типы, коллекции, валидация, sensitive • Ресурсы: граф зависимостей, count и for_each, lifecycle • State: дрейф, state mv и moved, импорт существующего • Модули: контракты, композиция, версии • Окружения: workspaces, tfvars, бэкенды S3/GCS/Yandex • Проверки: preco…

3 ошибки при настройке BGP prefix-list Prefix-list кажется простой вещью: указал сеть, разрешил или запретил маршрут. Но одна неточная маска может изменить фильтрацию сразу для сотен префиксов. ⏺Забыли про le и ge Например, на Cisco: ip prefix-list FILTER permit 10.0.0.0/8{} Это правило разрешает только точный префикс /8. Маршрут 10.10.0.0/16 под него не попадёт. Чтобы разрешить более специфичные сети: ip prefix-list FILTER permit 10.0.0.0/8 le 24{} Теперь подходят префиксы от /8 до /24 внутри указанной сети. ⏺Случайно разрешили слишком много…

Как проверить, куда исчезают пакеты в nftables Порт открыт, маршрут есть, но соединение не устанавливается. Проверять десятки правил firewall вручную неудобно, особенно когда пакеты проходят через несколько цепочек. В nftables есть трассировка, которая показывает путь пакета через правила. ⏺Сначала включаем трассировку для нужного трафика. Например, для TCP-подключений к порту 443: nft add table inet debug nft 'add chain inet debug trace_in { type filter hook prerouting priority -301; policy accept; }' nft add rule inet debug trace_in tcp dport 443 meta nftrace set 1{}…

Пост без текста